De nombreuses entreprises (peut-être la vôtre) s'appuient sur des vidéos de formation obligatoire en cybersécurité pour sensibiliser leurs collaborateurs aux dangers en ligne tels que les e-mails de phishing, les mots de passe faibles et les malware. Mais ces collaborateurs sont-ils vraiment attentifs ? Ou sont-ils simplement en train de jouer sur leur téléphone ?
Certaines sociétés qui produisent ces films de formation en cybersécurité ont relevé leur niveau, en dotant leurs vidéos d'un suspense, d'effets spéciaux et d'une mise en scène dignes d'Hollywood. Si cela peut contribuer à améliorer l'engagement, cela ne répond pas à une autre préoccupation qui occupe de plus en plus l'esprit des responsables de la sécurité des systèmes d'information (RSSI) : même si leurs collaborateurs assimilent les informations présentées, celles-ci sont souvent trop génériques pour couvrir les types de cybermenaces propres à leur secteur d'activité.
L'ennui et le manque de pertinence restent les deux principaux défis pour toute personne chargée de mettre en place une formation en cybersécurité. C'est pourquoi Ken Fishkin (photo ci-dessus), qui se définit lui-même comme un « évangéliste de la vie privée », a décidé d'adopter une approche plus personnalisée.
Fishkin avait le sentiment que les formations vidéo en cybersécurité dispensées au sein de son cabinet juridique de 350 personnes ne portaient pas vraiment leurs fruits. Ce responsable senior de la sécurité des systèmes d'information chez Lowenstein Sandler a constaté que de nombreux avocats et membres du personnel du cabinet étaient victimes d'une arnaque via les applications DocuSign et DropBox. Les cabinets d'avocats utilisent ces applications pour partager des documents à signer et à approuver, et les avocats, les parajuristes ainsi que les autres membres du personnel reçoivent un grand nombre de ces e-mails de façon régulière.
En tant que membre du conseil d'administration de la New Jersey CISO Community et président du chapitre de l'État pour l'organisation de formation en cybersécurité ISC2, Fishkin sait que les attaques utilisant des applications comme DocuSign sont en hausse et de plus en plus sophistiquées. Plutôt que de recourir aux techniques d'hameçonnage classiques, certains acteurs malveillants créent de véritables comptes DocuSign pour contourner les filtres anti-spam. L'e-mail semble provenir d'une personne et d'une entreprise réelles, avec une explication du contenu du document. L'utilisateur est invité à examiner et à signer les documents, via un lien intégré dans l'e-mail qui le redirige vers un document hébergé dans le cloud. (Une autre arnaque récente usurpe l'identité de PayPal pour voler les identifiants des utilisateurs et prendre le contrôle de leurs comptes.)
Pour diverses raisons, les employés du cabinet ne prenaient pas les quelques secondes nécessaires pour vérifier la légitimité du lien, même s'il est facile de comprendre comment ils auraient pu se faire piéger. Ils peuvent croire qu'il s'agit d'un nouveau client ou d'un nouvel assistant qui envoie le document, ou ils peuvent avoir tellement peur de perdre des affaires ou de prendre du retard dans leur charge de travail qu'ils cliquent sur le lien « Consulter le document ».
Fishkin a constaté que les formations génériques ne couvrent pas les menaces d'ingénierie sociale ni les autres problématiques de cybersécurité auxquelles font face les cabinets d'avocats. Il a donc décidé de revoir la façon dont son équipe proposait les formations en cybersécurité. Focal Point s'est récemment entretenu avec Fishkin pour comprendre comment il a fait face aux arnaques d'ingénierie sociale qui menaçaient la sécurité de son cabinet.
(Cet entretien a été modifié pour plus de clarté et de concision.)
Focal Point : Pouvez-vous nous parler du problème de sécurité auquel vous avez été confronté et des difficultés qu'il engendrait pour l'entreprise ?
Fishkin : Nos clients doivent effectuer une vérification préalable à notre égard, et ils souhaitent souvent s'assurer que nous dispensons des formations de sensibilisation à la sécurité à nos employés. Mais dans les faits, cela se résume à des personnes assises devant un ordinateur pendant une demi-heure à regarder une vidéo, ce qui répond aux exigences.
"Les escrocs utilisent des méthodes créatives pour convaincre un nouvel employé que l'entreprise a besoin qu'il achète des cartes-cadeaux ou qu'il gère une situation d'urgence."
Au cours des quatre dernières années, j'ai visionné ces vidéos, puis j'ai testé les collaborateurs à l'aide de campagnes de simulation – je créais un scénario pour voir combien de personnes se laissaient piéger. C'était une façon contrôlée de piéger les gens avec des arnaques, et ils se laissaient effectivement prendre.
J'ai fini par me dire qu'ils ne regardaient probablement pas ces vidéos et faisaient autre chose pendant que la vidéo tournait en arrière-plan. J'ai conclu que nous devions faire un meilleur travail pour sensibiliser l'ensemble des collaborateurs. J'ai donc décidé d'organiser des formations en présentiel avec des groupes restreints.
[Lire aussi : Pourquoi les employés enfreignent les politiques de cybersécurité]
FP : Que voulez-vous dire par formation en direct ?
Fishkin: Je mettrais en place un appel Zoom ou je rencontrerais les personnes en face à face pour discuter des problèmes liés aux arnaques auxquels les cabinets d'avocats sont confrontés. Cela touche davantage que le visionnage d'une vidéo destinée au grand public, car cette formation est plus spécifique aux cabinets d'avocats.
FP: Combien de personnes rencontrez-vous à la fois ?
Fishkin: C'est pour les nouvelles recrues, donc si cinq personnes viennent d'être embauchées cette semaine-là, je m'adresse à ces cinq personnes. Nous n'embauchons pas des centaines de personnes à la fois, donc c'est un rythme que je peux gérer.
[Lire aussi : 4 priorités de leadership essentielles pour les CISO à l'ère de l'IA]
FP: De quoi parlez-vous lors d'une session de formation en direct sur la sécurité ?
Fishkin: Je parle des arnaques réelles qui ont touché notre cabinet. Par exemple, lorsqu'une personne annonce sur LinkedIn qu'elle vient d'être recrutée par Lowenstein – ou lorsque nous menons une campagne de relations publiques pour annoncer l'arrivée d'un nouvel associé – de nombreux escrocs ont recours à des techniques d'ingénierie sociale, comme se faire passer pour le président du cabinet afin d'obtenir un numéro de téléphone portable. Les escrocs utilisent également des stratagèmes pour convaincre la nouvelle recrue que le cabinet a besoin qu'elle achète des cartes-cadeaux ou qu'elle gère une situation d'urgence, et que son numéro de téléphone portable est indispensable pour régler la situation.
"Montrer aux [employés] des situations concrètes, des arnaques qui se sont produites au sein même de notre cabinet, fait vraiment mouche."
Les nouvelles recrues ne connaissent pas encore vraiment les gens et ne connaissent pas la culture de l'entreprise, elles sont donc très réceptives. Surtout les jeunes qui cherchent à plaire à tout le monde pour attirer l'attention.
FP : Quel type de succès avez-vous eu avec cette approche personnelle ?
Fishkin : J'ai obtenu de bons résultats. Je leur ai expliqué qu'il existe des arnaques où des personnes appellent en se faisant passer pour le support technique. Nous avons des bombes d'e-mails, où des personnes reçoivent des milliers d'e-mails en peu de temps, ce qui sature leur boîte de réception. Ensuite, elles reçoivent un appel d'une personne se faisant passer pour le support technique pendant que cela se produit. Qui ne penserait pas qu'il s'agit d'un vrai support technique ? Mais c'est une arnaque pour installer des logiciels. Désormais, les gens vérifient qu'ils parlent bien au service d'assistance.
[Lire aussi : Qu'est-ce que l'ingénierie sociale en cybersécurité – un guide complet]
J'essaie de m'assurer que les employés comprennent qu'ils ne doivent pas cliquer sur n'importe quoi, mais tout le monde est tellement occupé qu'ils ne font pas vraiment attention à ce qui se passe. Leur montrer des exemples concrets, des arnaques qui se sont réellement produites dans notre entreprise, frappe vraiment les esprits. Je constate maintenant que davantage de personnes me contactent pour vérifier si un e-mail est frauduleux ou légitime.
FP : Allez-vous maintenir les sessions de formation annuelles en vidéo ?
Fishkin: Je maintiendrai la formation annuelle, mais elle deviendra probablement un mélange de ce que je fais actuellement avec les nouveaux employés. Le plan est d'organiser une formation annuelle par département, ce qui me permettra de m'adresser à tous et de cibler la formation sur les enjeux de sécurité propres à chaque groupe. Je souhaite vraiment que les gens prennent conscience de l'importance de la sécurité et la prennent plus au sérieux.
POUR EN SAVOIR PLUS
Découvrez d'autres entretiens exclusifs avec des leaders de la sécurité dans notre série « Success Stories ».
- Joseph Karpenko de Stratascale sur…
PASSER DES VIOLATIONS À LA STRATÉGIE D'ENTREPRISE - Le « super-héros » Marvel Mike Wilkes sur…
UTILISER L'IA POUR LUTTER CONTRE LA CYBERCRIMINALITÉ - Ash Hunt d'Apex Group sur…
PRÉDIRE LE CYBER-RISQUE (AVEC PRÉCISION) GRÂCE À CETTE FORMULE - Jeff Aguilar du comté de LA sur…
COMMENT IL FORME (ET REFORME) SES ÉQUIPES POUR CONTRER LE PHISHING - Dennis Leber d'Honest Medical Group sur…
POURQUOI IL NE PARLE PAS (BEAUCOUP) DE CYBERSÉCURITÉ AU CONSEIL D'ADMINISTRATION - Stephen Held de Leo A Daly sur…
L'AUTRE FACE DU RISQUE LIÉ AUX TIERS - Michael Adams de Zoom sur…
ATTEINDRE LA CYBERSÉCURITÉ 2,0 GRÂCE AU SCORING DU CYBER-RISQUE
